Datenschutzerklärung

1. Verantwortlicher und Datenschutzkontakt

Verantwortlicher im Sinne der Datenschutz-Grundverordnung ist:

Anel Alicic, handelnd unter der Geschäftsbezeichnung KASP
Brigitte-Frauendorfstr. 6
60486 Frankfurt am Main, Deutschland
E-Mail: kontakt@kasp.ai

Datenschutzanfragen können an diese Adresse gerichtet werden. Ein Datenschutzbeauftragter ist derzeit nicht benannt. Ändern sich die Organisation oder die Verarbeitungstätigkeiten, wird die Notwendigkeit einer Benennung erneut dokumentiert bewertet; im Fall einer Benennung werden die Kontaktdaten an dieser Stelle veröffentlicht.

2. Rollen bei Organisations- und Workspace-Nutzung

Für die eigenen Website-, Konto-, Sicherheits-, Abrechnungs- und Produktbetriebszwecke ist Kasp Verantwortlicher. Bei Inhalten, die ein Organisationskunde für eigene Zwecke in einen Workspace eingibt, kann der Kunde Verantwortlicher und Kasp Auftragsverarbeiter sein, soweit Kasp die Daten ausschließlich nach dokumentierter Weisung verarbeitet. Die Rollenverteilung ergibt sich nicht allein aus der Bezeichnung des Produkts, sondern aus Zweck, tatsächlicher Verarbeitung, Entscheidungshoheit und Vertrag.

Bevor Kasp personenbezogene Daten im Auftrag eines Organisationskunden verarbeitet, müssen die konkrete Rollenverteilung, ein gegebenenfalls erforderlicher Auftragsverarbeitungsvertrag, Weisungen, technische und organisatorische Maßnahmen sowie die maßgebliche Unterauftragsverarbeiterliste dokumentiert sein. Die öffentliche AVV-Information ersetzt keinen beiderseits wirksam vereinbarten Vertrag.

3. Zwecke und Rechtsgrundlagen

Wir verarbeiten personenbezogene Daten insbesondere für:

• Bereitstellung von Website, Konto, Workspace, Chat, Analysen, Dateien, Artefakten und Support zur Vertragserfüllung oder zur Durchführung vorvertraglicher Maßnahmen (Art. 6 Abs. 1 lit. b DSGVO),
• Abrechnung, Buchführung, Steuer- und handelsrechtliche Nachweise (Art. 6 Abs. 1 lit. b und c DSGVO),
• IT-Sicherheit, Missbrauchsverhinderung, Fehleranalyse und Rechtsverteidigung auf Grundlage berechtigter Interessen (Art. 6 Abs. 1 lit. f DSGVO),
• optionale, authentifizierte und datensparsame Tagesaggregierung öffentlicher Seiten-/Funnel-Ereignisse und normalisierter Core Web Vitals nur nach Einwilligung (Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG),
• Bearbeitung von Datenschutzrechten, Widerrufen, Kündigungen und Meldungen rechtswidriger Inhalte zur Erfüllung gesetzlicher Pflichten, zur Identitäts- und Missbrauchsprüfung sowie zur Durchführung des Vertrags (Art. 6 Abs. 1 lit. b, c und f DSGVO).

Soweit wir Daten auf Art. 6 Abs. 1 lit. f DSGVO stützen, bestehen die berechtigten Interessen insbesondere in einem sicheren, stabilen und wirtschaftlichen Betrieb, der Abwehr von Angriffen, der Verhinderung missbräuchlicher Nutzung sowie der Geltendmachung, Ausübung oder Verteidigung von Rechtsansprüchen. Eine andere Rechtsgrundlage oder eine Zweckänderung wird nicht allein dadurch geschaffen, dass ein Nutzer Daten in ein Freitextfeld eingibt.

4. Websiteaufruf und technische Protokolle

Beim Aufruf werden technisch erforderliche Verbindungsdaten verarbeitet, insbesondere IP-Adresse, Zeitpunkt, angeforderte URL, Referrer soweit übermittelt, Browser- und Geräteinformationen, Antwortstatus sowie Sicherheits- und Fehlerdaten. Diese Daten sind erforderlich, um Inhalte auszuliefern, Angriffe zu erkennen und den Dienst stabil zu betreiben (Art. 6 Abs. 1 lit. f DSGVO).

Vercel Inc. stellt Hosting, Edge-Auslieferung und Content-Delivery-Funktionen bereit. Aufgrund globaler Auslieferungsnetze kann eine Verarbeitung außerhalb der EU bzw. des EWR nicht in jedem Fall ausgeschlossen werden. Welche Region, Logkonfiguration, Unterauftragnehmer und Transfermechanismen gelten, richtet sich nach der tatsächlich eingesetzten Konfiguration und den dazu vereinbarten Unterlagen.

5. Konto, Anmeldung und Kommunikation

Für ein Konto verarbeiten wir E-Mail-Adresse, Nutzer-ID, Authentifizierungsereignisse, Sitzungs- und Sicherheitsmetadaten, Einstellungen, Planstatus und gegebenenfalls Organisations- oder Workspace-Zuordnungen. Die Anmeldung erfolgt über Google OAuth; Kasp speichert kein eigenes Kontopasswort. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und f DSGVO.

Google stellt dabei den OAuth-Identitätsdienst bereit. Beim Start der Anmeldung werden die für den OAuth-Vorgang erforderlichen technischen Daten an Google übermittelt; Kasp erhält die vom Nutzer freigegebenen Identitäts- und Profildaten. Umfang und weitere Verarbeitung richten sich auch nach dem verwendeten Google-Konto und dem dort angezeigten Einwilligungsdialog.

Supabase stellt insbesondere Datenbank, Authentifizierung und Dateispeicher bereit. Transaktionale E-Mails können über Supabase und Resend versendet werden. Dabei werden Empfängeradresse, Nachrichteninhalt sowie Zustell- und Fehlerdaten verarbeitet.

6. Chat-, Analyse-, Workspace- und Artefaktdaten

Bei der Nutzung verarbeiten wir insbesondere Eingaben und Chatverläufe, gewählte Rollen und Analysetiefen, Quellenanfragen, Rechercheergebnisse, Bewertungen, Feedback, Status- und Nutzungsmetadaten, Workspace-Zuordnungen sowie erzeugte Analysen, Pläne, Dokumente und sonstige Artefakte einschließlich ihrer Versionen. Zweck ist die vom Nutzer angeforderte Leistung und die Speicherung seiner Arbeitsergebnisse (Art. 6 Abs. 1 lit. b DSGVO).

Kasp verwendet Kundeninhalte nicht gezielt zum Training eines eigenen allgemeinen Basismodells. Ob und wie ein externer KI-Anbieter Inhalte speichert oder für eigene Zwecke verwendet, richtet sich nach der konkret vereinbarten Anbieterleistung, Konfiguration und Vertragslage. Eine Zero-Data-Retention- oder Nichttraining-Zusage gilt nur, wenn sie für den konkreten Datenfluss ausdrücklich vereinbart und technisch wirksam ist.

Für persönliche Kasp-Chats und Orbit gilt: Kundeneingaben dürfen nicht an Perplexity übermittelt werden und keine dortige Live-Recherche auslösen. Ein davon getrennter Dienst zur Beschaffung öffentlicher, nicht personenbezogener Quellen ist kein Empfänger von Kunden-, Konto-, Authentifizierungs-, Chat-, Datei-, Workspace-, Orbit- oder Abrechnungsdaten. Welche Empfänger für eine konkrete gebuchte Funktion gelten, ergibt sich aus der aktuellen Anbieterinformation und, soweit erforderlich, dem vereinbarten AVV.

7. Organisationsanalysen und Beschäftigtendaten

Der vertragsgemäße Zweck organisationsbezogener Kasp-Analysen ist auf Rollen, Aufgaben, Skills und aggregierte Organisationsstrukturen begrenzt. Kasp ist nicht für die Bewertung oder Rangfolge identifizierter oder identifizierbarer Bewerber oder Beschäftigter und nicht für Entscheidungen über Einstellung, Beförderung, Leistungsüberwachung, Kündigung oder personenbezogene Aufgabenverteilung bestimmt.

Namen, Personalnummern, E-Mail-Adressen, Lebensläufe sowie Leistungs-, Verhaltens-, Gesundheits- oder Disziplinardaten dürfen für solche Zwecke nicht eingegeben oder hochgeladen werden. Im vorgesehenen Analysepfad für Organisationsdaten werden erkannte Datensätze zu Rollenaggregaten verarbeitet; Rohzeilen sollen nicht als Modellkontext verwendet und Gruppen unter fünf Einheiten unterdrückt werden. Diese technischen Schutzmaßnahmen verhindern nicht jede fehlerhafte Eingabe und ersetzen keine Rechtsgrundlage oder organisatorische Prüfung.

Der Organisationskunde muss vor jeder Beschäftigtendatenverarbeitung insbesondere Erforderlichkeit und Rechtsgrundlage nach DSGVO und Beschäftigtendatenschutz, Informationspflichten, Löschung, Betroffenenrechte und die Beteiligung der Arbeitnehmervertretung prüfen. Eine Datenschutz-Folgenabschätzung ist vor Beginn zu prüfen und bei Vorliegen der Voraussetzungen durchzuführen. Eine Einwilligung im Beschäftigungsverhältnis ist wegen des Abhängigkeitsverhältnisses nicht automatisch freiwillig.

Weitere verbindliche Grenzen stehen unter KI-Transparenz und in den Nutzungsregeln.

8. Dateien, extrahierte Inhalte und besondere Datenkategorien

Bei Uploads verarbeiten wir Dateiname, Dateityp, Dateigröße, Speicherpfad, Dateiinhalt, Sicherheitsstatus, extrahierten Text sowie daraus erzeugte Ergebnisse. Dateien können vor der Nutzung auf unterstützte Formate, Größe und erkennbare Sicherheitsrisiken geprüft werden. Je nach Dateityp kann der erforderliche Inhalt zur OCR- oder Modellverarbeitung an einen beauftragten Dienstleister übermittelt werden (Art. 6 Abs. 1 lit. b und f DSGVO).

Nutzer dürfen nur Inhalte hochladen, die sie rechtmäßig verarbeiten lassen dürfen. Ohne ausdrücklich dokumentierten, rechtlich und vertraglich abgedeckten Datenfluss dürfen insbesondere keine Gesundheitsdaten, biometrischen Daten, Daten zu Religion oder Gewerkschaft, Strafdaten, Berufsgeheimnisse, Geschäftsgeheimnisse oder personenbezogenen Beschäftigtendaten übermittelt werden. Das bloße Vorhandensein eines Uploadfeldes erlaubt keine Verarbeitung besonderer Datenkategorien.

9. KI-Verarbeitung und Webrecherche

• Mistral AI SAS, Frankreich: Soweit Mistral AI für die gebuchte Funktion eingesetzt wird, können die für eine Antwort erforderlichen Prompts, ausgewählten Gesprächsteile, Artefakte und Dateiinhalte verarbeitet werden. Maßgeblich sind der für den konkreten Datenfluss vereinbarte Endpunkt, die Region, der Vertrag, die Unterauftragnehmer und die Aufbewahrung. Mistrals öffentliches Data Processing Addendum unterscheidet die Auftragsverarbeitung von eigenen Zwecken, darunter Missbrauchskontrolle und unter bestimmten Bedingungen Modelltraining. Ein vertraglicher oder eingestellter Ausschluss von Training sowie Ausnahmen für an Mistral übermitteltes Feedback müssen für die konkret genutzte Leistung geprüft werden. Die Verlinkung belegt keine von Kasp vereinbarte Sonderregelung.
• Perplexity AI, Inc.: Perplexity ist im hier beschriebenen Leistungsumfang kein Empfänger von Kundendaten. Soweit Kasp einen getrennten Dienst zur Beschaffung öffentlicher Quellen einsetzt, darf er nur Suchaufträge zu öffentlichen, nicht personenbezogenen Quellen erhalten. Seine Treffer sind unqualifizierte Hinweise und dürfen erst nach gesonderter Prüfung von Quelle, Rechten, Zuordnung und fachlicher Tragfähigkeit in Kundenergebnisse einfließen. Eine Perplexity-Ausgabe ist weder Quelle noch fachliche Autorität.

Rechtsgrundlage für die vom Nutzer angeforderte KI-Verarbeitung ist grundsätzlich Art. 6 Abs. 1 lit. b DSGVO. Sicherheits- und Missbrauchsfilter können ergänzend auf Art. 6 Abs. 1 lit. f DSGVO beruhen. Bei Organisationsdaten ist zusätzlich die konkrete Rolle und Weisungslage zu berücksichtigen. Informationen zum Systemzweck und zu menschlicher Kontrolle stehen unter KI-Transparenz.

10. Spracheingabe und öffentliche Freigaben

Die Spracheingabe nutzt – soweit vom Browser unterstützt – die Web Speech API. Kasp erhält über diese Funktion grundsätzlich den erkannten Text, nicht absichtlich eine von Kasp gespeicherte Audioaufnahme. Ob Audiodaten lokal oder durch einen Dienst des Browser- oder Betriebssystemanbieters verarbeitet werden, hängt vom verwendeten Browser, Gerät und dessen Einstellungen ab. Die Funktion ist optional und erfordert eine Mikrofonberechtigung.

Aktiviert ein Nutzer eine Freigabefunktion, können ausgewählte Ergebnisse über einen Freigabelink öffentlich oder für Personen mit dem Link abrufbar werden. Nutzer müssen vorher personenbezogene, vertrauliche und geschützte Inhalte entfernen. Kasp verarbeitet Freigabestatus, technische Kennung und Abrufdaten zur Bereitstellung und Missbrauchsabwehr (Art. 6 Abs. 1 lit. b und f DSGVO).

11. Zahlung und Abonnementverwaltung

Soweit Stripe für einen kostenpflichtigen Plan eingesetzt wird, verarbeitet Stripe insbesondere Kontakt-, Rechnungs-, Zahlungs-, Steuer-, Abonnement- und Betrugspräventionsdaten. Vollständige Kartendaten werden nicht in den Kasp-Systemen gespeichert. Kasp erhält je nach Vorgang unter anderem E-Mail-Adresse, Kunden- und Abonnementkennung, Zahlungsstatus, Betrag, Währung und rechtliche Checkout-Metadaten. Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b, c und f DSGVO.

12. Datenschutzrechte, Widerrufe, Kündigungen und Meldungen

Über die Seiten Datenschutzrechte, Widerruf, Kündigung und Rechtsverstoß melden verarbeiten wir die dort erforderlichen Identifikations-, Vertrags-, Kontakt- und Begründungsdaten, das geltend gemachte Datenschutzrecht, den Eingangszeitpunkt, eine Vorgangsnummer, Identitäts-, Zustell- und Bearbeitungsstatus. Bei einer Meldung zu mutmaßlichen Straftaten des sexuellen Missbrauchs oder der sexuellen Ausbeutung von Kindern sind Name und E-Mail-Adresse nicht erforderlich. Ohne E-Mail-Adresse kann keine spätere elektronische Entscheidung zugestellt werden.

Die Daten werden zur Entgegennahme, Bestätigung, Prüfung, Durchführung und zum gesetzlichen Nachweis des jeweiligen Vorgangs verwendet (Art. 6 Abs. 1 lit. b und c sowie, für Rechtsverteidigung, lit. f DSGVO).

13. Cookies und lokaler Browserspeicher

Technisch erforderliche Cookies oder vergleichbare Speichertechnologien werden nur für Anmeldung, Sitzungssicherheit, eine ausdrücklich gewählte Sprache oder Darstellung, angeforderte OAuth-/Checkout-/Analyse-Übergaben, lokale Entwürfe und Ergebnisse, UI-Wiederherstellung sowie die verlässliche Anwendung der Datenschutzentscheidung eingesetzt. Die Zuordnung als „erforderlich“ nach § 25 Abs. 2 TDDDG ersetzt nicht die für die anschließende personenbezogene Verarbeitung erforderliche Rechtsgrundlage nach Art. 6 DSGVO. Namen, Trigger, Inhalte, Empfänger und Gültigkeit jedes aktuell erreichbaren Schlüssels stehen in der Cookie- und Speicherinformation.

Der gerätebezogene Browser-Einwilligungsbeleg der Version 2026-08-31 enthält ausschließlich Version, Ja/Nein-Wert für optionale Statistik und den genauen Entscheidungszeitpunkt. Er gilt höchstens 180 Tage. Nach Ablauf wird er nicht mehr als wirksame Auswahl akzeptiert und eine neue Entscheidung verlangt. Ein älterer Eintrag kann bis zur nächsten Auswahl oder manuellen Browserlöschung physisch vorhanden bleiben, wird aber nicht für Statistik verwendet.

Bei angemeldeten Nutzern synchronisiert Kasp diese Browserentscheidung zusätzlich in eine getrennte aktuelle Konto-Projektion mit Konto-ID, Version, Ja/Nein-Wert, Entscheidungszeit, Quelle und Serverzeit. Ein gesonderter, unveränderlicher Einwilligungsbeleg enthält außerdem zufällige Request-ID, Einweg-Prüfsummen von Betroffenenbezug und Payload sowie den Projektionsstatus. Er enthält keinen Namen, keine E-Mail-Adresse, keine IP-Adresse und keinen User-Agent. Die Konto-Projektion dient insbesondere dazu, Statistik bei einer abweichenden, veralteten oder widerrufenen Kontoentscheidung serverseitig zu unterdrücken.

Kasp lädt kein Skript eines externen Statistik-Anbieters. Optionale Statistik wird ausschließlich an einen von Kasp kontrollierten Supabase-Edge-Endpunkt gesendet. Voraussetzung sind ein aktueller zustimmender Browserbeleg, eine authentifizierte nicht anonyme Nutzersitzung und eine exakt passende zustimmende Konto-Projektion. Anonyme öffentliche Ereignisse werden nicht aggregiert. Seiten- und Funnel-Ereignisse sind nur für eine feste Liste öffentlicher, nicht-sensibler Routenvorlagen zugelassen. Core Web Vitals können auf einer Stichprobe zusätzlich für normalisierte öffentliche und festgelegte App-Routenvorlagen gezählt werden. DNT oder GPC sperren jeden dieser Vorgänge technisch auch dann, wenn im Browser noch eine Zustimmung gespeichert ist.

Der Edge-Endpunkt verarbeitet Nutzer-JWT und exakten Entscheidungszeitpunkt, um Sitzung und Konto-Zustimmung zu prüfen. Dauerhaft gespeichert wird ausschließlich ein UTC-Tagesaggregat aus freigegebenem Ereignisnamen, normalisierter Routenvorlage, vier endlichen Funnel-Dimensionsschlüsseln und Zähler. Bei Core Web Vitals kommen Metrikname (LCP, INP oder CLS), deterministische Bewertung, Navigationstyp, Abschlusskennzeichen sowie Anzahl, Summe, Minimum und Maximum des Messwerts hinzu. Das Aggregat enthält keine Nutzer-ID, keine IP-Adresse, keinen User-Agent, keine rohe URL, keinen Query-String, kein URL-Fragment, keinen Referrer, keinen JWT, keinen Freitext, keinen Payload und keinen einzelnen Ereignis- oder Entscheidungszeitstempel. Konkrete App-Objekt-IDs werden in der Routenvorlage durch Platzhalter ersetzt. Login-, Admin-, private Freigabe-, Labor-, Datenschutzrechte-, Widerrufs-, Melde-, Kontakt-, Barrierefreiheits- und Supportpfade sowie Pfade mit sensiblen Token-Parametern sind ausgeschlossen.

Die Einwilligung kann jederzeit über „Datenschutzeinstellungen“ mit Wirkung für die Zukunft geändert werden. Eine Ablehnung beeinträchtigt weder Anmeldung noch Grundfunktionen, Leistungsumfang oder Preise.

14. Empfänger, Unterauftragsverarbeiter und Drittlandübermittlungen

Empfänger können – soweit für den jeweiligen Datenfluss erforderlich und in der aktuellen Anbieter- oder Vertragsinformation dokumentiert – Vercel, Supabase, Google, Mistral AI, Stripe, Resend, Plausible sowie dokumentierte Unterauftragnehmer dieser Anbieter sein. Außerdem können Daten an Berater, Gerichte oder Behörden übermittelt werden, wenn dies rechtlich erforderlich ist.

Für optionale Statistik ist Supabase der einzige externe technische Empfänger: Der produktive Supabase-Edge-Endpunkt authentifiziert die Sitzung und prüft die Konto-Einwilligung, bevor der Kasp-kontrollierte Datenbankpfad ausschließlich das kontolose Tagesaggregat erhöht. Ein separater Plausible- oder sonstiger Drittanbieter-Statistikdienst wird nicht geladen. Normale Verbindungs- und Sicherheitsdaten, die beim Aufruf des Edge-Endpunkts technisch anfallen können, fallen unter die Angaben zu technischen Protokollen in Abschnitt 4 und sind nicht Teil des Tagesaggregats.

Perplexity ist im hier beschriebenen Leistungsumfang kein Empfänger von Kundendaten. Ein davon getrennter Dienst zur Beschaffung öffentlicher Quellen ist auf öffentliche, nicht personenbezogene Daten begrenzt. Soweit ein solcher Dienst genutzt wird, müssen Anbieterrolle, Vertragsgrundlage und etwaige Drittlandübermittlung für diesen Datenfluss gesondert dokumentiert sein.

Die für eine konkrete Auftragsverarbeitung maßgebliche Unterauftragsverarbeiterliste muss Namen, Leistung, Datenkategorien, Verarbeitungsort, Transfermechanismus und Änderungsverfahren enthalten. Eine bloße Liste technisch möglicher Integrationen reicht nicht. Vor B2B-Vertragsschluss müssen die tatsächlich eingesetzten Anbieter und Datenregionen mit AVV, Sicherheitsdokumentation und Produktkonfiguration übereinstimmen.

Einige Anbieter oder Unterauftragnehmer können Daten außerhalb der EU bzw. des EWR verarbeiten. Soweit kein Angemessenheitsbeschluss nach Art. 45 DSGVO greift, bedarf die Übermittlung geeigneter Garantien, insbesondere EU-Standardvertragsklauseln nach Art. 46 DSGVO, sowie der Prüfung erforderlicher ergänzender Maßnahmen. Informationen zu einem konkreten Empfänger können über kontakt@kasp.ai angefragt werden, einschließlich einer Kopie der maßgeblichen Garantien oder Angaben dazu, wo diese verfügbar sind.

15. Speicherdauer, Löschung und Sicherungskopien

Daten werden nur so lange gespeichert, wie dies für den jeweiligen Zweck, die Vertragsdurchführung, Sicherheit, Rechtsverteidigung oder gesetzliche Aufbewahrung erforderlich ist. Konto- und Produktinhalte bleiben grundsätzlich bis zur nutzerseitigen Löschung, Kontolöschung oder bis zum Ende einer dokumentierten Vertrags- und Wiederherstellungsfrist gespeichert. Gelöschte Daten können während eines begrenzten, dokumentierten Rotationszeitraums in verschlüsselten Sicherungskopien enthalten sein und dürfen dort nicht für normale Produktzwecke wiederhergestellt werden.

Rechnungs- und Buchungsdaten werden entsprechend den anwendbaren steuer- und handelsrechtlichen Fristen aufbewahrt. Für Sicherheits- und Missbrauchsprotokolle sowie rechtliche Anfragen gelten nach Datenkategorie festgelegte Fristen. Die für eine konkrete gebuchte Leistung geltenden Fristen und Ausnahmen ergeben sich aus der zugehörigen Produkt- und Vertragsinformation; allgemeine Angaben auf dieser Seite verkürzen keine gesetzlichen Aufbewahrungspflichten.

Der Browserbeleg und die darauf beruhende Zählberechtigung gelten 180 Tage. Auch die Tagesaggregate werden auf höchstens 180 UTC-Kalendertage begrenzt; ein täglicher Datenbankjob und zusätzlich jeder zulässige Schreibvorgang löschen ältere Tage. Die Frist beginnt für Aggregate mit dem jeweiligen UTC-Kalendertag und nicht mit dem Entscheidungszeitpunkt des Browserbelegs. Die aktuelle Konto-Projektion wird bei Kontolöschung mit dem Konto gelöscht. Beim unveränderlichen Einwilligungsbeleg wird die direkte Konto-ID bei Kontolöschung abgetrennt; Einweg-Prüfsummen können für den dokumentierten Nachweiszeitraum fortbestehen. Tagesaggregate enthalten keinen Kontobezug und können weder einem Konto zugeordnet noch bei dessen Löschung selektiv aus einem Zähler entfernt werden. Die konkrete Aufbewahrungsfrist für Einwilligungsbelege und technische Edge-Protokolle muss im produktiven Löschkonzept getrennt festgelegt und nachgewiesen sein.

16. Profiling und automatisierte Entscheidungen

Kasp trifft keine ausschließlich automatisierte Entscheidung, die einer betroffenen Person gegenüber rechtliche Wirkung entfaltet oder sie in ähnlicher Weise erheblich beeinträchtigt (Art. 22 DSGVO). Scores und KI-Ausgaben sind Informations- und Entscheidungsunterstützung. Nutzer dürfen sie nicht zur automatisierten personenbezogenen Beschäftigten- oder Bewerberentscheidung einsetzen.

Rollen- und Aufgabenanalysen können Muster, Szenarien oder Prioritäten auf aggregierter Ebene bilden. Sie sind nicht für personenbezogenes Profiling bestimmt. Eine Funktion, die natürliche Personen bewertet, vorhersagt oder kategorisiert, erfordert eine gesonderte Prüfung auf Profiling, Art.-22-Relevanz, Datenschutz-Folgenabschätzung und Hochrisiko-Einstufung.

17. Pflicht zur Bereitstellung und Sicherheit

Bestimmte Daten sind für Vertragsschluss und Leistung erforderlich, insbesondere E-Mail-Adresse, Authentifizierungsdaten und die für eine angeforderte Funktion notwendigen Eingaben. Ohne diese Daten kann der jeweilige Dienst nicht bereitgestellt werden. Optionale Angaben und optionale Reichweitenmessung sind nicht Voraussetzung für die Grundfunktionen.

Kasp setzt technische und organisatorische Maßnahmen ein, darunter Zugriffsbeschränkungen, getrennte Rollen, Transportverschlüsselung, Protokollierung, Rate-Limits, Sicherheitsprüfungen von Uploads und kontrollierte administrative Zugriffe. Umfang und Wirksamkeit müssen regelmäßig geprüft werden. Sicherheitsprobleme können an kontakt@kasp.ai gemeldet werden.

18. Rechte betroffener Personen

Betroffenen Personen stehen insbesondere folgende Rechte zu:

• Auskunft nach Art. 15 DSGVO,
• Berichtigung nach Art. 16 DSGVO,
• Löschung nach Art. 17 DSGVO,
• Einschränkung der Verarbeitung nach Art. 18 DSGVO,
• Datenübertragbarkeit nach Art. 20 DSGVO,
• Widerspruch gegen Verarbeitungen auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO nach Art. 21 DSGVO,
• Widerruf einer Einwilligung mit Wirkung für die Zukunft nach Art. 7 Abs. 3 DSGVO.

Ihr Widerspruchsrecht

Sie können einer Verarbeitung auf Grundlage von Art. 6 Abs. 1 lit. e oder f DSGVO jederzeit aus Gründen widersprechen, die sich aus Ihrer besonderen Situation ergeben. Wir verarbeiten die Daten dann nicht weiter, außer wir weisen überwiegende zwingende schutzwürdige Gründe nach oder benötigen sie für Rechtsansprüche. Gegen eine Verarbeitung für Direktwerbung können Sie jederzeit ohne Begründung widersprechen; dies umfasst damit verbundenes Profiling. Für solche Werbung werden die Daten dann nicht mehr verarbeitet.

Anfragen und Widerruf einer Einwilligung

Zur Ausübung stehen das Formular „Datenschutzrechte“ und eine E-Mail an kontakt@kasp.ai bereit. Eine Eingangsbestätigung bestätigt weder die Identität noch die materielle Berechtigung oder den Abschluss der Bearbeitung. Zur Verhinderung unbefugter Auskünfte können wir einen angemessenen Identitätsnachweis verlangen. Bei Organisationskonten kann Kasp eine Anfrage an den verantwortlichen Organisationskunden weiterleiten oder ihn bei der Bearbeitung unterstützen, soweit Kasp als Auftragsverarbeiter handelt.

Über Maßnahmen zu Ihrer Anfrage informieren wir unverzüglich, grundsätzlich spätestens innerhalb eines Monats nach Eingang. Bei komplexen oder zahlreichen Anträgen kann sich diese Frist um bis zu zwei weitere Monate verlängern; darüber und über die Gründe informieren wir innerhalb des ersten Monats. Bei einer Ablehnung erläutern wir die Gründe und die verfügbaren Beschwerde- und gerichtlichen Rechtsbehelfe. Anfragen sind grundsätzlich unentgeltlich; gesetzliche Ausnahmen bleiben unberührt.

Der Widerruf einer Einwilligung berührt nicht die Rechtmäßigkeit der Verarbeitung bis zum Widerruf. Für optionale Reichweitenmessung können Sie die „Datenschutzeinstellungen“ verwenden; weitere Einwilligungen können Sie über den oben genannten Kontakt widerrufen.

Sie können sich bei einer Datenschutzaufsichtsbehörde beschweren, insbesondere am gewöhnlichen Aufenthaltsort, am Arbeitsplatz oder am Ort des vermuteten Verstoßes (Art. 77 DSGVO). Für Kasp ist grundsätzlich der Hessische Beauftragte für Datenschutz und Informationsfreiheit zuständig. Dessen Beschwerdeformular und Hinweise zur sicheren Übermittlung stehen online bereit. Postanschrift: Postfach 3163, 65021 Wiesbaden.

19. Minderjährige und Änderungen

Kasp richtet sich nicht an Personen unter 18 Jahren. Erhalten wir Kenntnis, dass ein Konto ohne wirksame Berechtigung für eine minderjährige Person geführt wird, prüfen wir Sperrung und Löschung unter Beachtung gesetzlicher Pflichten.

Wir aktualisieren diese Datenschutzerklärung, wenn sich Datenflüsse, Funktionen, Dienstleister oder die Rechtslage ändern. Wesentliche Änderungen, die bestehende Nutzer betreffen, werden in geeigneter Form mitgeteilt. Es gilt die auf dieser Seite veröffentlichte Fassung.